CSP y cabeceras de seguridad

Construye una Content-Security-Policy, revisa sus fallos y exporta las cabeceras para nginx, Apache, Netlify o Caddy.

Se procesa en tu navegador · Compruébalo Sin envíosDatos enviados: 0 · A otros dominios: 0Analítica: no existe · Anuncios: no existe

Prueba un ejemplo

Directivas

Fuentes separadas por espacios. Vacío = no se define.

default-srcscript-srcstyle-srcimg-srcfont-srcconnect-srcmedia-srcobject-srcframe-srcworker-srcmanifest-srcbase-uriform-actionframe-ancestors

Otras cabeceras de seguridad HSTS (forzar HTTPS) X-Content-Type-Options Referrer-Policy Permissions-Policy Cross-Origin-Opener-Policy

Sólo informar (Report-Only): no bloquea, sirve para probar

Formato de salida

Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data: blob:; connect-src 'self'; object-src 'none'; base-uri 'none'; form-action 'none'; frame-ancestors 'none'
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()

Revisión

✓ Sin avisos: la política cubre lo básico.

Importar una política existentePega el valor de la cabecera (con o sin su nombre) y se carga en el editor.

Aprende

¿Qué es?

La CSP es una lista de permisos que tu servidor envía al navegador en una cabecera HTTP: «los scripts sólo de mi dominio, las imágenes de mi dominio y de data:, nada de plugins». Si un atacante consigue colar un <script> en tu página, el navegador se negará a ejecutarlo porque no viene de un origen permitido.

¿Para qué sirve?

Reducir mucho el daño de un XSS, que sigue siendo una de las vulnerabilidades web más comunes.
Impedir que otra web incruste la tuya en un iframe (frame-ancestors).
Controlar a qué servidores puede conectarse tu JavaScript (connect-src).
Pasar auditorías de seguridad y obtener buena nota en escáneres de cabeceras.

¿Cómo funciona por dentro?

Cada directiva (script-src, img-src, connect-src…) tiene una lista de fuentes: 'self' (tu propio origen), un host (cdn.example.com), un esquema (https:), un nonce o un hash. Si una directiva no está, el navegador usa default-src como respaldo. Para probar sin romper nada, la variante Content-Security-Policy-Report-Only registra las violaciones pero no bloquea. Las palabras clave van entre comillas simples.

Errores comunes

Olvidar las comillas (self en lugar de 'self'): se interpreta como un host llamado «self» y la política no hace lo que esperas.
'unsafe-inline' en script-src: anula la mayor parte de la protección contra XSS; usa nonces o hashes.
* o https: en scripts: equivale a confiar en cualquier sitio, incluidos los que el atacante controle.
Activarla directamente en producción: empieza con Report-Only y revisa las violaciones.
Olvidar object-src 'none', base-uri y frame-ancestors: son huecos pequeños pero explotables.
Pensar que sustituye a validar la entrada: la CSP es una segunda línea de defensa, no la primera.

Glosario

XSS:: Ataque en el que alguien consigue ejecutar su propio JavaScript dentro de tu página.
Directiva:: Una regla de la política
Nonce:: Número aleatorio de un solo uso que marca como permitido un script concreto.
Clickjacking:: Engañar a alguien para que haga clic en tu web oculta dentro de un iframe de otra.
HSTS:: Cabecera que obliga al navegador a usar siempre HTTPS con tu dominio.

Para saber más

Más en Seguridad

Aprende paso a paso en la rutaSeguridad de tu sitio web